No contexto framework da governança da segurança da informação, o estado desejado é aquele que pode ser obtido por meio de um conjunto de ferramentas que permitem o alcance de condições relevantes dentro desse cenário, como, por exemplo, processos, frameworks, serviços etc. Entre as várias abordagens em segurança da informação que proveem o alcance do estado desejado, encontra-se o
- A)PMBOK.
Errada, porque o PMBOK é voltado a gerenciamento de projetos, não a uma abordagem de medição estratégica de governança da segurança da informação.
- B)Balanced Scorecard.
Certa, porque o Balanced Scorecard traduz objetivos estratégicos em indicadores e metas, sendo muito usado para apoiar governança e acompanhamento de desempenho em TI e segurança.
- C)Scrum.
Errada, porque Scrum é um framework ágil para gestão de trabalho e desenvolvimento, não uma ferramenta de governança de segurança da informação.
- D)Ideal Model.
Errada, porque Ideal Model não é a referência consagrada nessa área e não corresponde ao instrumento clássico de alinhamento estratégico cobrado pela banca.
Gabarito: B
Aqui a banca está misturando governança da segurança da informação com ferramentas de gestão estratégica. O ponto central é que, para sair do discurso e chegar ao resultado, você precisa de algo que traduza objetivos em indicadores, metas e acompanhamento. É aí que o Balanced Scorecard entra como uma abordagem clássica de gestão de desempenho e alinhamento estratégico. O BSC foi criado por Kaplan e Norton e organiza a estratégia em perspectivas como financeira, clientes, processos internos e aprendizado/crescimento. Em TI e segurança da informação, ele ajuda a transformar objetivos de governança em métricas observáveis, como disponibilidade, conformidade, resposta a incidentes e maturidade de controles. Em outras palavras: ele ajuda a medir se o estado desejado está sendo alcançado, e não só a listar boas intenções. Por isso, o gabarito é a letra B. As outras alternativas são ferramentas de outras áreas: PMBOK é de gerenciamento de projetos, Scrum é método ágil de desenvolvimento/gestão de trabalho, e Ideal Model não é a abordagem clássica cobrada nesse contexto. Em prova, quando aparecer linguagem de estratégia, indicadores e alinhamento entre objetivos e execução, o radar deve apitar para o BSC.